■リスク対応の出発点
マルチハザードBCPを策定する際の鍵となるのは、言うまでもなく「リスクアセスメント」です。このアセスメントで使用する「リスクアセスメントシート」の書き方は、参照するソースによって若干表現形式が異なりますが、ここでは筆者が調べた限りにおいて一般的と考えられる形式を用いて解説します。
リスクアセスメントシートには、左端の列から順に、地震や火災などの「リスクもしくはハザードの種類」、次にこのリスクの「発生確率（起こりやすさ）」、リスクが顕在化した時の影響とその大きさ」、評価結果である「リスクレベル」などの項目が設けられています。
ここまではどのシートにも見られますが、この後に「リスクを低減するためにとるべき対策」、リスクが顕在化した時の「緊急対応手順」「リスク低減対策の実行責任者」「対策完了予定日」などの項目を追加するケースもあります。リスクの評価だけでなく、さながら総合的なリスク対応・対策のラフスケッチにもなっているのです。
先ほど指摘したとおり、リスクアセスメントシートに共通する特徴は「発生確率」と「影響の大きさ」を数値で見積もることでしょう。あるインシデントの発生確率が「3」、組織が被る影響の大きさを「5」などと評価し、最終的に３X５＝15という数字の大小をハザードごとに比較し、リスク対応のプライオリティが決まるわけです。
この方法では「3」や「5」という数字が評価者の恣意性や主観性を免れ得ない上に、掛け算の結果も相対的にならざるを得ません。しかしながら、リスクの評価には過度に厳密な結果を期待することもできませんから、会社として対処すべきリスクの優先順位をざっくりと決めるだけなら、十分に意義のある方法と言えるでしょう。
■1つのリスク評価からは1つの対策しか見えない
日本におけるリスクアセスメントはどうでしょうか。これは2つの意味で述べた方がよさそうです。まず、多くの一般的なリスクマネジメントの教科書に記載されている方法は、欧米式の原則的な方法をモデルにして書かれています（テキストを執筆する先生ごとに若干アレンジしているケースが見受けられますが）。
一方、BCPやBCMに関するガイドラインや参考書には、リスクアセスメントに関する記述は数行の概要説明にとどまっているか、解説が省かれています。これはおそらく地震という単一のリスク・モデルを前提としているために、リスクアセスメントの説明は不要と考えたか、あるいは発展的な内容なので別途専門書にあたってほしいということなのかもしれません。
マルチハザードBCPでリスクアセスメントのステップを踏まなかった場合、どのような不便があるのかについて筆者なりの理由を述べたいと思います。
最も分かりやすい理由は、リスクの種類やその影響、起こりやすさ、リスク低減対策、リスクが顕在化したときの緊急対応といったアセスメント項目が、シートの中で可視化されないために、たたき台（ラフスケッチ）を提供できないことでしょう。結局リスクの対処方法や対策を、思いつくままに1つ1つホワイトボードに書き出して、書紀が議事録に逐一まとめるしかありません。
また、リスクアセスメントシートでは「地震」「大停電」「感染症流行」「台風豪雨水害」といった複数のハザードを列挙してそれぞれの内容を比較検討することができます。しかしこのシートがなければ、地震なら地震だけを念頭に置いて議論を進めるしかありません。
１つのリスクの検討からは、そのリスクをベースとした対処方法や対策しか見えませんから、BCP全体が隅から隅まで1つのリスク対応の文脈で記述されてしまいます。リスクを新たに追加しようとしたら、リスクの数だけ何冊もBCPをつくらなくてはなりません。
■複数リスクを1シートで扱うことのメリット
マルチハザードBCPにおけるリスクアセスメントは、基本的には欧米の方法を踏襲します。つまり1つのリスクアセスメントシートの中に複数のリスクの評価・分析・対策の記入欄を併記して、相互に比較検討できるようにします。リスク相互の評価・分析・対策を比較検討することで、さまざまな側面で共通項が見えてくるからです。
例えば「大規模停電」「地震」「台風災害」「熱波」のリスクアセスメントを行い、各対策を相互に見比べて見る。すると、どのリスク対策にも非常用発電機（停電対策）がリストアップされていることに気づくでしょう。逆の見方をすれば、（やや極論ではありますが）これら4つのハザードのどのインシデントが発生しても、非常用発電機が1台あれば対処可能であることが理解できるわけです。
繰り返しますが、マルチハザードBCPにおける複数のリスクを1つのシート内で扱う方法は、欧米と同じであり、とくに目新しいものではありません。あえて相違点を掲げるとすれば、伝統的な欧米式のリスクアセスメントシートには、原則としてリスクを定量的に評価するための「発生確率」「影響度」「リスクレベル（評価結果）」の欄が必要です。
一方、筆者が考えるマルチハザードBCPでは、この定量評価の部分は任意とみなします。リスクアセスメントシートで扱う新規のリスクが多数ある場合は、定量評価による優先順付けを行ってターゲットを絞り込んだ方がよいですが、3～5個のリスクをBCPに追加する方向であらかじめコンセンサスがとれている場合は、無理に行う必要はないということです。
